TeamCity

Die Schwachstelle betrifft TeamCity von JetBrains, eine Server-Software zur Automatisierung von Software-Builds und -Tests (Continuous Integration). Der Defekt erlaubt es, die Authentifizierung des TeamCity-Servers zu umgehen: Ein Angreifer kann die Anmeldung vollständig aushebeln und sich Zugriff verschaffen, ohne gültige Zugangsdaten zu besitzen. Diese umgangene Anmeldung führt weiter zur Ausführung von beliebigem Code (Remote Code Execution) direkt auf dem TeamCity-Server. Der Angreifer kann den Angriff aus der Ferne ausführen und erlangt damit die Kontrolle über den Server. Besonders schwer wiegt dies, weil ein Build-Server an zentraler Stelle der Software-Entwicklung steht: Er hat Zugriff auf Quellcode, Anmeldedaten und Verteilungsprozesse. Wer ihn übernimmt, kann nicht nur den Server selbst manipulieren, sondern potenziell auch die dort erstellte Software kompromittieren und Schadcode in nachgelagerte Systeme einschleusen.